Protection des données des enfants : vers une vérification de l’âge plus sécurisée

Le Comité européen de la protection des données (ou European Data Protection Board – EDPB) est l’autorité chargée de veiller à l’application uniforme au sein de l’Union européenne de la réglementation européenne en matière de protection des données personnelles. Le 11 février 2025, ce Comité a adopté une déclaration sur la vérification de l’âge, visant à renforcer la protection des enfants dans l’ère numérique.

Face à la présence croissante des mineurs sur Internet, et de plus en plus jeunes, l’EDPB a décidé de fournir des orientations renforcées aux États membres. L’objectif est de garantir une meilleure protection des données personnelles des enfants, principalement en ligne, en identifiant des principes clés pour la mise en œuvre de mesures de vérification de l’âge des utilisateurs, particulièrement dans le cadre des services numériques. Après l’adoption de la stratégie européenne « Better Internet for Kids » (« Un meilleur Internet pour les enfants ») en mai 2022, l’EDPB propose des lignes directrices pratiques qui permettent de croiser les différentes sources de droit européennes, notamment le Règlement Général sur la Protection des Données à caractère personnel (RGPD), afin d’assurer une approche cohérente à l’échelle européenne. La déclaration de l’EDPB inclut également des exemples concrets d’application de ces principes.

 

La protection des données des mineurs : un enjeu crucial

Le caractère particulièrement vulnérable des mineurs justifie une attention et des mesures spécifiques. Comme l’énonce le RGPD, « les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu’ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel ».

Dans sa déclaration de février 2025, l’EDPB rappelle également la notion fondamentale d’intérêt supérieur de l’enfant, telle qu’introduite par l’article 3.1 de la Convention des Nations Unies relative aux droits de l’enfant. Le droit international prévoit que cet intérêt doit être une considération primordiale dans toutes les décisions concernant les enfants.

Le RGPD fixe à 16 ans l’âge à partir duquel un mineur peut consentir seul au traitement de ses données personnelles dans le cadre de l’offre directe de services de la société de l’information, ce qui inclut les réseaux sociaux, sans avoir besoin de l’autorisation de ses responsables légaux. Toutefois, le Règlement européen permet aux États membres d’abaisser cet âge, pour autant que celui-ci ne soit pas inférieur à 13 ans. Par exemple, la France a opté pour un seuil de 15 ans, tandis que l’Italie a choisi de fixer cet âge à 14 ans.

Afin que le consentement soit valide, le mineur doit être informé dans un langage clair, simple et accessible. Le Garante italien, autorité nationale de protection des données, évoque la possibilité d’adapter le lexique, le ton et le style de l’information en utilisant des bandes dessinées, pictogrammes ou animations.

 

L’équilibre entre vérification de l’âge et protection des données personnelles

Lors de sa réunion plénière de février 2025, l’EDPB a adopté une déclaration sur l’assurance de l’âge, que l’on peut définir comme la détermination de l’âge ou la tranche d’âge d’un utilisateur. Ce processus vise principalement à garantir que les enfants n’accèdent pas à des contenus inappropriés pour leur âge.

Cependant, cette vérification implique la collecte de données personnelles telles que l’âge ou la date de naissance de l’utilisateur. L’utilisation de ces données, permettant d’identifier une personne, est régie par des règles strictes en droit européen et national, afin de respecter les principes de limitation du traitement, minimisation des données, ainsi que la licéité, la loyauté et la transparence du traitement.

Concrètement, la protection des données personnelles permet notamment d’éviter des comportements intrusifs de la part des responsables du traitement, comme le risque de collecte d’informations non nécessaires. Elle contribue également à limiter les risques de diffusion illicite des données.

 

Les principes clés pour une vérification de l’âge respectueuse des droits des mineurs

L’EDPB a identifié dix principes essentiels pour garantir que la vérification de l’âge soit conforme aux droits des mineurs et respecte leur vie privée :
- Jouissance pleine et effective des droits et libertés
- Évaluation de la proportionnalité de l’assurance de l’âge en fonction des risques
- Prévention des risques liés à la protection des données
- Limitation de la finalité et minimisation des données
- Efficacité de l’assurance de l'âge
- Licéité, loyauté et transparence
- Prise de décision automatisée
- Protection des données dès la conception et par défaut
- Sécurité de l’assurance de l'âge
- Responsabilité

Les recommandations de l’EDPB encouragent les acteurs impliqués dans la vérification de l’âge à adopter des mesures informatiques de sécurité, telles que la pseudonymisation ou le cryptage des données. Ils doivent également privilégier des solutions les moins intrusives pour atteindre les objectifs de vérification de l’âge.

Une responsabilité partagée

Selon l’EDPB, la responsabilité de la mise en œuvre des mesures de vérification de l’âge ne repose pas uniquement sur les responsables de traitement des données, mais également sur tout tiers impliqué dans ce processus. Par exemple, pour les prises de décisions automatisées concernant les mineurs, l’EDPB recommande que les fournisseurs de services envisagent l’intervention humaine pour garantir une approche plus protectrice.

Les utilisateurs des mesures de vérification de l’âge sont invités à adopter une approche fondée sur l’analyse des risques, en tenant compte des éventuels incidents de sécurité tels que des violations de données, pouvant entraîner la destruction ou la divulgation non autorisée des informations.

 

Une protection des données « by design » et « by default »

L’EDPB met l’accent sur le principe de protection des données dès la conception et par défaut (privacy by design et by default). Cela signifie que la protection des données personnelles doit être intégrée dès le début des processus de vérification de l’âge et appliquée par défaut. Le respect de ces recommandations et des principes européens et nationaux applicables est crucial pour garantir la sécurité et la confidentialité des données des mineurs.

Lola Garnier